S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 18 août 2006
N° CERTA-2006-AVI-364
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité du contrôle ActiveX IBM eGatherer

Gestion du document

Référence CERTA-2006-AVI-364
Titre Vulnérabilité du contrôle ActiveX IBM eGatherer
Date de la première version18 août 2006
Date de la dernière version18 août 2006
Source(s) Bulletin de sécurité eEye AD20060816 du 16 août 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Systèmes avec le contrôle ActiveX IBM eGatherer en version antérieure à 3.20.0284.0.

Ce contrôle ActiveX est théoriquement installé par défaut sur les postes de travail et les portables IBM.

Description

Le contrôle ActiveX IBM eGatherer est utilisé pour détecter automatiquement des pilotes et des mises à jour sur le site d'IBM en collectant des informations sur le système (type de machine, modèle, numéro de série, etc).

Une vulnérabilité dans le contrôle ActiveX IBM eGatherer permet l'exécution de code arbitraire à distance par l'intermédiaire d'une page web malveillante.

Contournement provisoire

Désactiver les contrôles ActiveX.

Solution

Mettre à jour le contrôle ActiveX en version 3.20.0284.0 (voir Documentation). Ce contrôle ActiveX peut s'être mis à jour automatiquement.

Documentation

Gestion détaillée du document

    le 18 août 2006
    version initiale.